PAŞA Bank ASC-də Təhlükəsizlik blokunun baş direktoru Vasif Qasımov ilə müsahibə.

- Vasif bəy, istər dünyada, istərsə də Azərbaycanda kibertəhlükəsizlik sahəsinin inkişaf tendensiyalarında hansı trendlər izlənilir?

Qlobal informasiya texnologiyalarının və rəqəmsallaşmanın sürətlə inkişaf etdiyi bir dövrdə kibertəhlükəsizliyin təmin edilməsi mühüm məsələlərdən birinə çevrilib. Dünya əhalisinin 60%-dən çoxu internet istifadəçisidir. Bu, həm də dünya əhalisinin 70 %-nin kibertəhlükəsizlik problemləri ilə üzləşə biləcəyi deməkdir. Müxtəlif tənzimləyici qurumlar və təşkilatlar tərəfindən bu sahəyə iri həcmdə sərmayələrin yatırılmasına, eləcə də məlumatlılıq səviyyəsinin artırmasını hədəfləyən tədbirlərin keçirilməsinə baxmayaraq, kibertəhlükəsizlik riskləri hələ də ən mühüm risklər arasında birinci üçlükdə yer alır. Bildiyimiz kimi, kiberhücumların arxasında duran əsasən motivasiyalar kibercinayətkarlıq, “haktivizm”, kibermüharibə və kibercasusluqdur. Bu hücumların əsas hədəfləri isə dövlət orqanları, sənaye obyektləri, ayrı-ayrı fərdlər, onlayn xidmətlər və maliyyə institutlarıdır.

Kibertəhdidlər dünya iqtisadiyyatı üçün daimi təhlükə təşkil edir. Belə ki, onların vurduğu ziyanın həcmi son illərdə trilyonlarla dollarla ölçülür. Ən müasir texnoloji vasitələrdən istifadə kibertəhdidlərin də artmasına və genişlənməsinə gətirib çıxarır. Bu artım həmçinin onların qarşısını alınması üçün sərf olunan xərclərə də təsir edir. Nəticədə qlobal kibertəhlükəsizlik sənayesi formalaşır və yüksək templə inkişaf edir.

Son illərdə kiberhücumlardan qorunma sistemləri ilə yanaşı, onların vaxtında aşkarlanması, cavab tədbirlərinin görülməsi və fəsadlarının minimallaşdırılması üzrə xüsusi strukturun yaradılması da həyata keçirilir. Bu struktur Təhlükəsizlik Əməliyyat Mərkəzləridir (Security Operation Center - SOC). Hazırda dünyanın bir çox ölkələrində, o cümlədən Azərbaycanda bu strukturların sayı artmaqdadır.

Ümumiyyətlə, son illər ərzində Azərbaycanda bu sahədə əhəmiyyətli işlər görülür. Ölkənin milli kibertəhlükəsizlik ekosisteminin gücləndirilməsi və beynəlxalq trendlər nəzərə alınmaqla inkişaf etdirilməsi istiqamətində aidiyyəti dövlət qurumları və assosiasiyaları tərəfindən həyata keçirilən kompleks tədbirlər nəticəsində ölkəmizin kibertəhlükəsizlik üzrə beynəlxalq reytinqlərdə mövqeyi yüksəlməkdədir. Belə ki, 2023-cü il üzrə Milli Kibertəhlükəsizlik İndeksinə əsasən Azərbaycan reytinqdə 33 pillə irəliləyərək Qazaxıstan, Belarus, Özbəkistan kimi ölkələri qabaqlayıb və 52-ci yerdə qərarlaşıb.

-Son illərdə dünyada kibertəhdidlərlə yanaşı, rəqəmsal fırıldaqçılıq hallarında da artım müşahidə olunur. Hazırkı dövrdə “ənənəvi” hal almış hansı fırıldaqçılıq növlərinə daha çox rast gəlmək olar?

Fırıldaqçılıq halları yer aldığı sahəyə, baş vermə formasına və növünə görə dəyişkəndir. Sabit qalan məqam isə fırıldaqçıların üçüncü şəxslərin vəsaitləri hesabına varlanmaq istəkləridir. Maliyyə fırıldaqçılığı hal-hazırda dünyada ən aktual problemlərdən biridir.

Dələduzluq hallarını nəzərdən keçirdikdə, bu əməliyyatların bir neçə istiqamətdə baş verməsini müşahidə edə bilərik. Bunlardan birincisi, təşkilatdaxili, ikincisi isə təşkilatxarici dələduzluq əməlləridir. Sərmayədarlara təhrif olunmuş maliyyə hesabatlarının təqdim edilməsi, şişirdilmiş gəlirlər və xərclərin tanıdılmaması, maraq toqquşmaları, şirkət vəsaitlərinin təyinatı üzrə istifadə edilməməsi, şirkət əmlakının və yaxud pul vəsaitlərinin fərqli yollarla mənimsənilməsi kimi hallar təşkilatdaxili dələduzluq əməlləri sırasındadır.

Təşkilatxarici dələduzluq hallarına isə şirkətin və ya müştərilərinin texniki üsullarla və ya sosial mühəndislik alətləri ilə inamını qazanaraq həssas məlumatlarının, eləcə də texniki sazlanmalarda, o cümlədən proseslərdə yaranan boşluqlardan istifadə edərək pul vəsaitlərinin ələ keçirilməsi nəticəsində maliyyə dələduzluğuna cəhdləri aid etmək olar. Bəzi hallarda təşkilatxarici dələduzluq əməliyyatları daxildən məlumat sızmasının əsasında da icra olunur.

Hazırda aktual olan dələduzluq faktlarına nəzər yetirsək, bu dələduzluq hallarının dələduzluq prosesini quran şəxs tərəfindən deyil, onların vasitəçiləri tərəfindən həyata keçirildiyinin şahidi oluruq. Sosial mühəndislik, saxta iş elanları, “Ponzi sxemi” və ya digər adı ilə piramida tipli sxemlər, texniki boşluqlardan istifadə fişinq növlərinin və xarici dələduzluq faktlarının sayındakı artıma ciddi təsir edib. Bütün bu dələduzluq əməliyyatlarının baş verməsi isə daha çox maliyyə məlumatlılığının zəif inkişaf etdiyi mühitindən qaynaqlanır.

- Xüsusilə bank sektorunda fırıldaqçılıqda hansı tendensiyalar izlənilir? Süni intellektin istifadəsi dələduzluq hallarının artmasında nə kimi rol oynayır?

“DataReportal” analitik platformasının hesabatlarına əsasən ölkəmizdə 2019-cu il ilə müqayisədə 2022-ci ildə internet istifadəçilərinin sayı 4% artaraq 8.32 milyonadək yüksəlib. Yüksək artım tendensiyası həm də sosial media istifadəçilərinin sayında da müşahidə edilir. Belə ki, sosial media istifadəçilərinin sayı 2019-cu il ilə müqayisədə 2022-ci ildə 67% artaraq 5.2 milyona çatıb.

Ümumiyyətlə, ölkəmizdə internet və nağdsız ödəniş həllərindən istifadədə yüksək artım templəri dələduzların da diqqətindən yayınmayıb. Bu artımla paralel maliyyə məlumatlılığının az olduğu şəxslərə qarşı “whatsapp”, “telegram”, “facebook”, “instagram” və digər rəqəmsal platformalar vasitəsilə maliyyə dələduzluğu əməliyyatları icra edirlər.

Son dövrlərdə bank sektorunda kart istifadəçilərinə qarşı həyata keçirilən dələduzluq əməliyyatlarına elan saytları və digər platformalar adından yatırım məqsədli təklifləri, işə düzəltmə adı ilə daxil olan SMS və zəngləri nümunə çəkmək olar. Bu sxemlərdə iştirak edən şəxslər hər zaman qurban rolunda çıxış edir və arxa planda oğurlanmış vəsaitlərin əldə edilməsindən tamamilə məlumatsızdırlar. Sosial mühəndislik vasitəsilə istifadəçilərin mobil əlavə və ya internet bankçılıq hesablarının oğurlanması ilə bütün hesablara girişin əldə olunması, bir çox maliyyə platformalarının veb-səhifələrindən ödəniş səhifələrinin kopyalanaraq oxşar fişinq veb-səhifələrin yaradılması kimi dələduzluq halları da müşahidə edilir. Fürsətdən istifadə edərək bir daha vətəndaşların diqqətinə çatdırmaq istərdim ki, heç bir halda istifadəçi məlumatları, məsələn, kart məlumatları, şifrlər və kodlar istər telefon zəngi üzərindən, istərsə də rəqəmsal kanallar üzərindən (mesencerlər, email və s.) açıqlanmamalıdır.

Əməliyyatların dinamikasında baş verən artım dələduzluq hallarının da artmasına və müxtəlif təzahür formasına gətirib çıxarır ki, bu da öz növbəsində bütün bu proseslərin Süni intellekt vasitəsilə idarə edilməsini labüd edir. Hazırkı dövrdə kiberhücumçular Süni intellektdən istifadə edərək “DdoS” hücumlarından, parolları təxmin edən proqram təminatlarından, “CAPTCHA” testlərindən keçməyi bacaran “bot”lardan və bu kimi üsullardan istifadə edirlər.

İnsan faktoru nəticəsində yayınma hallarını və böyük sayda məlumatların insan tərəfindən analiz edilmə imkanının məhdudluğunu nəzərə alaraq dələduzluq əməliyyatlarına, eləcə də kibertəhdidlərə nəzarətdə və onların idarə edilməsində Süni intellektin tətbiqi artıq günümüzün tələbi və ayrılmaz tərkib hissəsinə çevrilib.

Süni intellekt əsasında işləyən sistemlərin köməyi ilə böyük sayda məlumatları analiz etməklə anomaliyaları tez və dəqiq şəkildə təyin etməyə, o cümlədən fırıldaqçılıq əməliyyatlarının uğurla nəticələnməyinin qarşısını almağa nail olmaq mümkündür.

- “PAŞA Bank” da daxil olmaqla, Azərbaycanın bank sektoru kiberhücümlara necə müqavimət göstərir?

Son illərdə Azərbaycanın bank sektorunda bu mühüm sahədə önəmli addımlar atılıb. 2021-ci ildə Mərkəzi Bank tərəfindən beynəlxalq standartlara cavab verən və banklar üçün məcburi xarakter daşıyan “Banklarda informasiya təhlükəsizliyinin idarə edilməsi qaydası” qəbul edilib. Bu günlərdə də 2023-2026-cı illər üçün “Maliyyə bazarları üzrə kibertəhlükəsizlik strategiyası” öz təsdiqini tapıb. Bu strategiyanın başlıca məqsədi Mərkəzi Bank və ölkədə fəaliyyət göstərən maliyyə institutlarında informasiya təhlükəsizliyinin və kibertəhlükəsizliyin gücləndirilməsi, o cümlədən müasir dövrün kibertəhlükəsizlik təhdidlərinin və kiberhücumların qarşısının daha effektiv alınması üzrə əsas fəaliyyət istiqamətlərinin müəyyən edilməsidir.

“PAŞA Bank”da məlumat təhlükəsizliyi və kibertəhlükəsizliyin təmin olunması, banka yönəlmiş müxtəlif kiber müdaxilələrin qarşısının alınması, dələduzluğa qarşı mübarizə üzrə müasir sistem və platformalar tətbiq edilir. Bankda təşkil edilmiş Təhlükəsizlik üzrə əməliyyat mərkəzi və dələduzluq hadisələrinin monitorinqi hər gün 24 saat ərzində banka yönəlmiş kibermüdaxilələrin aşkarlanması və müvafiq cavab tədbirlərinin görülməsinı təmin edir.

Bank məhsullarının yaradılması zamanı dizayn və konsepsiya mərhələsindən başlayaraq bütün mərhələlərdə dələduzluğa qarşı mübarizə və kibertəhlükəsizlik tələblərinə əməl olunması təmin edilir. Bankda rəqəmsal kanallarla müştərilərə göstərilən xidmətlərin təhlükəsizliyinin yoxlanılması və bоşluqların müəyyən edilməsi üçün daim müdaxilə testləri keçirilir, çatışmazlıqlar aradan qaldırılır və bu xidmətlərin təhlükəsizlik səviyyələrinə əminlik artırılır.

Bütün kart sistemləri, kartlarla yerinə yetirilən bütün əməliyyatlar və kartlar üzrə məlumatlar beynəlxalq “PCI DSS” standartının tələblərinə cavab verir və bu standarta uyğunluğu bankın hər il yenidən qiymətləndirilərək aldığı müvafiq sertifikatla təsdiq olunur. Fövqəladə hallarda bankın fəaliyyətinin davam etdirilməsi üçün hazırlanan plan dövrü olaraq test edilir və test zamanı bankın kritik sistemlərinin işi ehtiyat mərkəzdən təmin olunur.

Rəqəmsallaşmanın geniş tətbiqi və informasiyanın getdikcə daha artıq elektron formata keçməsi məxfi və biznes üçün önəmli olan məlumatların sızması riskini artırır. Bu səbəbdən də, “PAŞA Bank”, bu istiqamətdə zəruri həlləri və təcrübələri tətbiq edir.

Bankın təhlükəsizlik səviyyəsi tanınmış beynəlxalq standartlara uyğunluğu və yetkinlik səviyyəsi bu sahədə ixtisaslaşmış xarici şirkətlər tərəfindən dövrü olaraq qiymətləndirilir. Biz, müasir dövrün məlumat təhlükəsizliyi və kibertəhlükəsizliyin təmin olunması üzrə yeni çağırışlarına cavab olaraq öz işimizi müntəzəm surətdə təkmilləşdiririk.

- Kibercinayətkarlıqla mübarizədə insan kapitalı böyük rol oynayır və ən kiçik səhv belə mənfi nəticələrə gətirib çıxara bilir. “PAŞA Bank” əməkdaşlarının bu sahədə məlumatlılığının, eləcə də “kibergigiyena” səviyyəsinin artırılması üçün hansı tədbirləri həyata keçirir?

Bütün təşkilatlarda olduğu kimi, “PAŞA Bank”-da da insan kapitalı kiberhücumlarının qarşısının alınması sahəsində ilk müdafiə xətti rolunu oynayır. Ona görə də Bank bu məsələyə böyük önəm verir. Bu sahədə kiber və informasiya təhlükəsizliyi üzrə məlumatlılığın, eləcə də “kibergigiyena” səviyyəsinin artırılması xüsusi proqramda əks olunur. Bu proqram yalnız bank əməkdaşlarını deyil, həm də müştəriləri və banka İT sahəsi üzrə müxtəlif xidmətlər təminatçılarını əhatə edir. Bu proqramda tədris kursları, müxtəlif testlər, o cümlədən “fişinq “ testləri, təcili məlumatlandırmalar və digər tədbirlər əks olunur. Hər il nəticələr araşdırılır və müvafiq yeniliklər tətbiq edilir. Bu dəyişikliklər həm cari ildə müasir dövrün inkişaf tendensiyaları, həm də keçirilən testlərin nəticələri əsasında həyata keçirilir.

- Vasif bəy, maraqlı müsahibəyə görə təşəkkür edirik.